De vez en cuando (y cada vez es más frecuente), me llega una notificación de que alguna aplicación ha intentado instalarse (¡!) pero ha sido bloqueada porque procede de "fuentes desconocidas", y me pide que desactive la opción de "bloquear la instalación desde fuentes desconocidas" desde Ajustes.

No es una notificación sino una diálogo y se ve así:

_{(Haga clic en la imagen para ampliarla; imagen por cortesía de <a href="https://android.stackexchange.com/q/132951/96277">Piyush </a>)}

Al principio pensé que podrían ser actualizaciones del sistema y estuve tentado de desactivar el bloqueo de "origen desconocido", pero ahora me preocupa que pueda tener algún malware en mi teléfono.

Sí, nunca habilitar eso Fuentes desconocidas de la configuración si te encuentras en aguas desconocidas.

¿Dónde debo buscar el APK que intenta instalarse (o los APKs)?

Es un poco difícil encontrar la aplicación. Recomiendo encontrar la causa del efecto. En nuestro caso, el efecto era el diálogo que indicaba que la configuración de Fuentes desconocidas estaba bloqueada. Ese diálogo es mostrado por Package Installer (una aplicación de sistema). Package Installer es utilizado por aplicaciones de usuario o de sistema que no tienen el permiso Android.permission.INSTALL_PACKAGES para instalar una aplicación. Dado que no intentaste cargar lateralmente una aplicación, es lógico que una aplicación llamada Package Installer sin tu consentimiento. Nuestro objetivo inminente es encontrar esa aplicación en particular.

El servicio del sistema actividad registra muchos detalles importantes. Entre otras cosas muestra el paquete llamado que en este caso es la aplicación Package Installer con el nombre de paquete com.google.Android.packageinstaller o com.Android.packageinstaller . También muestra el paquete de llamada o el paquete que lanzó un otro paquete.

Encuentre el nombre del paquete

Ahora, utilizando adb en PC ejecutar el comando:

adb shell dumpsys activity activities      # this command should be executed only when that dialog is in foreground

Resultado de la demostración: observe la línea resaltada:

En la línea resaltada, la cadena después de launchedFromPackage= y antes userId es el paquete responsable de lanzar la aplicación Package Installer. En su caso sería un nombre de paquete diferente. Anote ese nombre de paquete (en adelante denotado como <pkg> ).

Localizar el apk

Ahora que sabemos la causa inmediata podemos cazar la casa o lo que es lo mismo, la apk. Ejecuta el comando:

Nota: Encontrar la ubicación del apk es necesario sólo para los forenses. Si no estás interesado en eso, te recomiendo que no te molestes con este paso y saltes inmediatamente al apartado Desinstalar/desactivar/ocultar la aplicación .

adb shell pm path <pkg>  

Salida de demostración:

bash-4.2# adb shell pm path com.estrongs.android.pop
package:**/data/app/com.estrongs.android.pop-1/base.apk**

La cadena junto a package: es la ubicación de apk. También puede encontrar la misma información entre otras cosas a través del comando:

adb shell dumpsys package <pkg>

Desinstalar/desactivar/ocultar la aplicación

Si conoce la etiqueta del envase o puede conocerla por cualquier medio (como con AppXplore ) y luego entrar en el gestor de aplicaciones en la aplicación de Ajustes que suele bajar Ajustes → Aplicaciones → Todas las aplicaciones en Android de serie, encontrar la aplicación de malware y desinstalarla.

Aspectos a tener en cuenta

• Si Desinstalar está en gris y lo mismo ocurre con el botón Parada forzosa entonces su aplicación debe ser un administrador de dispositivos. En ese caso, vaya a la configuración de seguridad, elija Administradores de dispositivos y revocar el privilegio de administrador de la aplicación. Vuelve a intentar desinstalar la aplicación.

• Si no encuentra el Desinstalar entonces su aplicación de malware es una aplicación de sistema. Si tu proveedor la envió o la aplicación explotó tu sistema o te engañó para que se instalara es otro asunto a tratar. Para una aplicación de sistema, el botón Desinstalar se sustituye por Desactivar .

  • Si ambos Parada forzosa y Desactivar están en gris, entonces la aplicación también puede ser un administrador de dispositivos. En ese caso, revoque ese privilegio y luego intente desactivar la aplicación.

  • Si el Desactivar solo está en gris, entonces:

    • Para un Android rooteado: utilice adb para desactivar la aplicación a través de los comandos:

      adb shell
      su
      pm disable <pkg>

      Para activar la aplicación, sustituya desactivar con activar en dicho comando.

      También puedes utilizar una aplicación, como Titanium Backup, para desactivar/congelar la aplicación de malware. También puedes considerar la eliminación del apk utilizando una aplicación de gestión de archivos.

    • Para un Android no rooteado: siempre que utilices Android 4.4.x o superior, utiliza los comandos

      adb shell
      pm block <pkg>      # for Android 4.4.x
      pm hide  <pkg>      # for Android 5.x and 6.x

      Para desbloquear/descubrir el paquete sustituya bloque por desbloquear y ocultar por Deshacer en el comando apropiado antes mencionado. En este caso particular, ocultar el paquete lograría el mismo resultado que deshabilitarlo.

El paquete permanecerá desactivado u oculto hasta que revierta los cambios.

Nota para los lectores

El autor de la pregunta ha confirmado que la aplicación de malware en su teléfono tiene el nombre de paquete com.Android.tools.callassistant . Encontré su etiqueta como Caller ID y ha sido reportado como malware por AVG .